Uma política de cibersegurança é um documento fundamental que oferece à sua pequena empresa uma forma clara de explicar como os colaboradores devem proteger os sistemas, contas, dispositivos e dados digitais da empresa.
Transforma a segurança de conselhos dispersos em expectativas partilhadas, respondendo a perguntas como quais as práticas permitidas, o que os colaboradores devem evitar, quem é responsável por cada decisão e o que acontece quando algo corre mal.
Este guia oferece-lhe uma estrutura prática para redigir ou rever uma política de cibersegurança para a sua pequena empresa. Pode utilizá-lo como um modelo inicial, adaptar cada secção às suas ferramentas e riscos e ligar a política a controlos operacionais que facilitem o seu cumprimento.
O que é uma política de cibersegurança?
Por que razão as pequenas empresas precisam de uma política de cibersegurança
Modelo de política de cibersegurança: 9 secções principais
Por que razão falham as políticas de segurança de TI para empresas?
Como o Proton Pass for Business apoia a aplicação da política
O que é uma política de cibersegurança?
Uma política de cibersegurança é um documento escrito que define a forma como a sua empresa protege informações, sistemas, dispositivos e contas contra ameaças cibernéticas(nova janela). Deve explicar o que se espera que os colaboradores e prestadores de serviços, incluindo gestores e administradores, façam no seu trabalho diário.
Uma política forte deve ser vista como uma referência que as pessoas possam realmente utilizar quando as decisões não forem claras. Deve responder a perguntas como:
- Que palavras-passe e contas precisam de proteção extra?
- Os colaboradores podem utilizar dispositivos pessoais para o trabalho?
- Onde devem ser armazenados os dados confidenciais?
- Quem pode aprovar o acesso aos sistemas empresariais?
- O que deve fazer alguém que suspeite de uma violação?
- Com que frequência a política será revista?
- O que acontece ao acesso quando alguém sai da empresa?
Para as PME, a melhor política de cibersegurança é curta, clara e suficientemente específica para eliminar incertezas.
Por que razão as pequenas empresas precisam de uma política de cibersegurança
Uma política de cibersegurança pode ajudar a sua empresa de três formas:
Define expectativas: os colaboradores sabem o que é permitido, o que é obrigatório e o que necessita de aprovação.
Cria responsabilidade: se o acesso, os dispositivos, o manuseamento de dados e a resposta a incidentes tiverem responsáveis claros, a segurança deixa de depender da memória individual.
Apoia a conformidade e a confiança dos clientes: estar em conformidade com os regulamentos de dados, como o GDPR, exige que a sua empresa processe os dados pessoais de forma segura utilizando medidas técnicas e organizacionais adequadas, incluindo análise de risco, políticas organizacionais e medidas técnicas.
Uma política de segurança de informação escrita ajuda a demonstrar que a sua empresa considerou essas responsabilidades e criou controlos para reduzir os riscos.
O relatório de cibersegurança para PME da Proton reforça a razão pela qual isto é importante para equipas mais pequenas: as PME enfrentam frequentemente riscos de segurança reais sem os mesmos recursos que as grandes empresas. Uma política prática oferece a essas equipas uma forma de priorizar o essencial e torná-lo replicável.
Modelo de política de cibersegurança: 9 secções principais
Utilize a seguinte estrutura como modelo de política de cibersegurança. Não precisa de tornar todas as secções excessivamente longas. O objetivo é definir a regra, atribuir a responsabilidade e explicar de que forma os colaboradores a devem aplicar.
1. Objetivo e âmbito da política
Comece por explicar por que razão a política existe e a quem se aplica. Esta secção previne um problema comum: as pessoas assumirem que a política se aplica apenas a “sistemas de TI” ou a colaboradores a tempo inteiro.
Texto do modelo:
Esta política de cibersegurança define a forma como a [Nome da empresa] protege os sistemas, contas, dispositivos e dados empresariais. Aplica-se a colaboradores, prestadores de serviços, trabalhadores temporários e terceiros que acedam a informações ou sistemas da empresa.
O âmbito deve incluir dispositivos propriedade da empresa, serviços na nuvem aprovados, contas empresariais, ambientes de trabalho remoto, dispositivos pessoais utilizados para o trabalho e acesso de fornecedores.
2. Política de utilização aceitável
A secção de utilização aceitável explica como os colaboradores podem utilizar os sistemas e as contas da empresa.
Deve abranger:
- Software e serviços empresariais aprovados
- Restrições a aplicações ou extensões de navegador não autorizadas
- Regras para transferir ficheiros e software
- Utilização de e-mail empresarial e mensagens
- Utilização pessoal de dispositivos da empresa
- Atividades proibidas, tais como partilhar contas sem aprovação ou contornar controlos de segurança
Mantenha esta secção prática. Os colaboradores devem compreender quais as escolhas diárias que são aceitáveis, sem necessidade de interpretar linguagem técnica.
Texto do modelo:
Os colaboradores devem utilizar sistemas empresariais aprovados para o trabalho da empresa. Não podem ser utilizadas aplicações não aprovadas, contas de armazenamento pessoal e extensões de navegador não autorizadas para armazenar, processar ou partilhar dados da empresa, a menos que tal seja aprovado por [cargo/equipa].
3. Requisitos de gestão de palavras-passe e acessos
É importante ter em consideração os controlos de administrador. Uma política pode definir quem deve ter acesso, quando é necessária a autenticação de dois fatores (2FA) e como deve funcionar a saída de colaboradores (offboarding), mas as equipas continuam a precisar de uma forma operacional de aplicar essas regras. Um gestor de palavras-passe empresarial como o Proton Pass for Business apoia isso através do seu painel de administrador, onde a sua equipa pode gerir acessos, aplicar políticas, rever a atividade e reduzir a dependência do manuseamento informal de palavras-passe.
A sua política deve estipular que:
- As palavras-passe de trabalho devem ser exclusivas e fortes.
- As palavras-passe não devem ser reutilizadas em contas profissionais e pessoais.
- As credenciais partilhadas não devem ser enviadas por vias não aprovadas, tais como e-mail, chat, capturas de ecrã, tickets ou documentos.
- O 2FA deve ser ativado em todo o lado, a começar pelas contas de alto risco.
- O acesso deve ser concedido com base no cargo e nas necessidades do negócio.
- O acesso deve ser removido quando alguém muda de cargo ou sai.
- As exceções devem ser documentadas, incluindo os casos em que o 2FA ainda não pode ser ativado, uma conta partilhada é temporariamente inevitável, um fornecedor necessita de acesso elevado com limite de tempo ou um sistema legado não consegue cumprir os requisitos padrão de palavra-passe ou de acesso.
O guia da Proton para criar uma política de palavras-passe pode apoiar esta secção com mais detalhes sobre regras de palavras-passe, partilha, gestão de acessos e autenticação de dois fatores.
É também aqui que a política necessita de apoio operacional. Uma regra que diz “utilize palavras-passe exclusivas” é fraca se os colaboradores ainda tiverem de criar e memorizar cada palavra-passe manualmente.
Um gestor de palavras-passe empresarial como o Proton Pass for Business ajuda as equipas a transformar os requisitos de palavras-passe numa prática diária: os colaboradores podem gerar palavras-passe fortes e exclusivas, guardá-las em cofres encriptados, utilizar o preenchimento automático e partilhar palavras-passe de forma segura em vez de utilizarem canais inseguros — tudo numa única aplicação.
Texto do modelo:
As palavras-passe de trabalho devem ser exclusivas, fortes e armazenadas no gestor de palavras-passe empresarial aprovado. As palavras-passe não devem ser reutilizadas em contas pessoais e empresariais, nem partilhadas através de e-mail, chat, capturas de ecrã, pedidos de suporte ou documentos. A autenticação multifator deve ser ativada para contas de alto risco e o acesso deve ser concedido com base no cargo e nas necessidades do negócio. Quando um colaborador, prestador de serviços ou fornecedor já não necessitar de acesso, as permissões devem ser revistas e removidas.
4. Classificação e manuseamento de dados
Uma política de cibersegurança deve definir os tipos de informação com que a sua empresa lida e como cada tipo de informação deve ser protegido. Eis três níveis que uma pequena empresa pode utilizar sem complicar as coisas:
Público: Informação aprovada para utilização pública
Interno: Informação empresarial para colaboradores e prestadores de serviços aprovados que não seria apropriado partilhar externamente
Confidencial: Dados de clientes, dados financeiros, credenciais, contratos, registos de colaboradores ou informações operacionais sensíveis — tudo o que possa causar danos se houver uma fuga
Texto do modelo:
A informação confidencial deve apenas ser armazenada em sistemas aprovados, partilhada com pessoas autorizadas e protegida contra o acesso não autorizado. Os colaboradores não devem armazenar dados empresariais confidenciais em contas pessoais, documentos não geridos ou dispositivos não aprovados.
5. Relatório de incidentes e primeira resposta
A sua política deve explicar o que os colaboradores devem fazer quando identificam ou suspeitam de uma vulnerabilidade. Este não tem de ser um plano completo de resposta a incidentes, mas deve definir as primeiras ações e a atribuição de responsabilidades.
Inclua exemplos como:
- Alertas de início de sessão suspeitos
- Dispositivos perdidos ou roubados
- E-mails de phishing
- Partilha acidental de dados
- Avisos de malware
- Atividade invulgar na conta
- Acesso não autorizado a documentos ou sistemas
Utilize o guia da Proton sobre prevenção de incidentes de dados para empresas para obter mais orientações sobre como reduzir o risco de incidentes antes que estes aconteçam.
Texto do modelo:
Os colaboradores devem reportar imediatamente incidentes de segurança suspeitos a [cargo/equipa/contacto]. Os colaboradores não devem eliminar provas, repor sistemas afetados ou comunicar externamente sobre um incidente, a menos que tal seja instruído pelo proprietário do incidente.
6. Trabalho remoto e regras de Bring Your Own Device (BYOD)
O trabalho remoto e os dispositivos pessoais na rede da sua empresa podem criar riscos desnecessários se não forem geridos corretamente. A sua política de cibersegurança deve explicar se os colaboradores podem utilizar dispositivos pessoais, quais os requisitos de segurança aplicáveis (como a segurança de BYOD) e o que acontece se um dispositivo for perdido ou se alguém sair da empresa.
Inclua:
- Dispositivos e sistemas operativos aprovados
- Bloqueios de ecrã e encriptação de dispositivos
- Reportar dispositivos perdidos ou roubados
- Utilização de Wi-Fi público(nova janela)
- Acesso a sistemas da empresa a partir de dispositivos pessoais
- Regras para armazenamento na nuvem pessoal
- Requisitos para aplicações de autenticação e 2FA
- Passos de offboarding para colaboradores remotos
Os guias da Proton sobre política de trabalho remoto e política de BYOD podem apoiar esta secção com regras mais detalhadas para equipas distribuídas e dispositivos propriedade dos colaboradores.
Texto do modelo:
Os colaboradores apenas podem aceder aos sistemas da empresa a partir de dispositivos aprovados que cumpram os requisitos de segurança. Os dispositivos perdidos ou roubados devem ser reportados imediatamente. Os dados da empresa não devem ser armazenados em contas pessoais na nuvem ou em aplicações não geridas.
7. Acesso de fornecedores terceiros
As pequenas empresas dependem frequentemente de agências, prestadores de serviços, fornecedores de software, contabilistas, consultores e fornecedores de serviços geridos. O acesso de fornecedores nunca deve ser tratado de forma casual, pois pode criar um backdoor que a sua empresa não controla totalmente.
Um gestor de palavras-passe empresarial pode ajudar a tornar esse controlo mais prático, ajudando as equipas a manter as credenciais dos fornecedores limitadas, monitorizadas e fáceis de revogar quando uma colaboração termina.
A sua política deve definir:
- Quem pode aprovar o acesso de fornecedores
- A que sistemas os fornecedores podem aceder
- Se as contas de fornecedores devem ser individuais ou partilhadas
- Quanto tempo dura o acesso
- Com que frequência o acesso dos fornecedores é auditado
- Como são determinadas as permissões mínimas para cada fornecedor
- O que acontece quando um contrato termina
Esta secção também apoia a segurança da cadeia de abastecimento. Os 10 Passos do NCSC(nova janela) incluem-na como uma área fundamental para gerir o risco cibernético, o que é especialmente relevante para pequenas empresas que subcontratam partes das TI, finanças, marketing ou operações.
Texto do modelo:
O acesso de terceiros deve ser aprovado por [cargo/equipa], limitado aos sistemas necessários para o trabalho e revisto no final do contrato. O acesso de fornecedores deve ser removido quando já não for necessário.
8. Requisitos de formação de colaboradores
Uma política de cibersegurança não funcionará se as pessoas apenas a virem durante a integração (onboarding). A formação regular em sensibilização para a segurança garante que a sua política é sempre cumprida.
A sua política deve explicar:
- Quando os colaboradores recebem formação em segurança
- Quais os tópicos abordados na formação
- Com que frequência ocorrem as ações de reciclagem
- Quem deve concluir a formação
- Como são comunicadas os novos riscos ou as alterações à política
Os tópicos de formação podem incluir phishing, gestão de palavras-passe, 2FA, partilha segura de ficheiros, manuseamento de dados, trabalho remoto, segurança de dispositivos e reporte de incidentes.
Mantenha a formação curta e prática. Uma política sucinta de cinco páginas com uma lista de controlo apoiada por exemplos curtos é normalmente mais útil do que um documento de 40 páginas demasiado extenso e detalhado.
Texto do modelo:
Os colaboradores devem concluir a formação em cibersegurança durante a integração e pelo menos [anualmente/duas vezes por ano]. A formação abordará a segurança das palavras-passe, phishing, manuseamento de dados, segurança dos dispositivos e reporte de incidentes.
9. Cadência de revisão da política
Uma política de cibersegurança deve mudar à medida que o negócio muda. Novos sistemas, padrões de trabalho remoto, fornecedores, regulamentos e incidentes podem tornar as regras antigas incompletas.
Defina:
- Com que frequência a política é revista
- Um proprietário para a revisão da política de cibersegurança
- Como são aprovadas as alterações
- Como são comunicadas as atualizações
- O que desencadeia uma revisão fora do ciclo
Texto do modelo:
Esta política será revista a cada [seis ou 12 meses] pelo [proprietário]. Também deve ser revista após um incidente de segurança grave, uma alteração significativa do sistema, uma atualização regulamentar ou uma alteração material nas operações comerciais
Porque falham as políticas de segurança de TI das empresas?
A maioria das políticas de cibersegurança falha por motivos práticos:
A política é demasiado longa: Uma política de cibersegurança para pequenas empresas não deve tentar cobrir todos os cenários possíveis. Se se tornar demasiado longa, os colaboradores deixam de a utilizar. Mantenha-a concisa e faça uma ligação para procedimentos mais detalhados onde for necessário.
A linguagem é demasiado técnica: Os colaboradores não devem necessitar de formação na área da segurança para seguir as diretrizes de cibersegurança da empresa. Utilize uma linguagem simples e substitua os termos técnicos por explicações quotidianas sempre que possível.
A política é apresentada apenas durante a integração: Se a política for mencionada apenas uma vez durante a integração, não moldará o comportamento diário. Reforce-a através de formação, lembretes, guias de referência rápida e atualizações quando os processos mudarem.
A política nunca é revista: Uma política escrita há dois anos pode não refletir os sistemas atuais, as práticas de trabalho remoto, o acesso de fornecedores ou as expectativas regulamentares. Reveja-a regularmente.
A política não é aplicada: Este é o motivo mais comum para o fracasso. Uma política pode ditar que as palavras-passe devem ser armazenadas de forma segura, que a 2FA deve estar ativada ou que o acesso de fornecedores deve ser removido, mas essas regras não importam se ninguém as acompanhar de perto. A aplicação significa atribuir proprietários, utilizar controlos de administrador quando disponíveis, rever exceções e tornar o comportamento seguro mais fácil do que o atalho.
Para a gestão de acessos e de palavras-passe, o Proton Pass for Business pode ajudar a apoiar a aplicação da política a nível operacional. Oferece às equipas cofres encriptados, partilha segura, geração de palavras-passe e visibilidade para os administradores, para que a sua empresa não dependa apenas da teoria. Os administradores também podem monitorizar a integridade da palavra-passe, a reutilização de credenciais e a exposição a incidentes na dark web em toda a organização de forma segura, sem conhecerem as palavras-passe dos colaboradores.
Como o Proton Pass for Business apoia a aplicação da política
Uma política de cibersegurança só é útil se a empresa a conseguir pôr em prática. As regras de acesso e de palavras-passe são um bom exemplo. Pode escrever que as palavras-passe devem ser únicas, partilhadas de forma segura e removidas quando as pessoas saem. No entanto, se os colaboradores continuarem a utilizar navegadores, folhas de cálculo, mensagens de chat ou notas pessoais, a política é fácil de ignorar.
O Proton Pass for Business oferece aos colaboradores uma forma segura de gerar, armazenar, preencher automaticamente e partilhar credenciais, ao mesmo tempo que dá aos administradores uma melhor visibilidade sobre como o acesso é gerido. Isto torna a secção de gestão de acessos e de palavras-passe da sua política mais fácil de seguir.
Para as pequenas empresas, o benefício é prático. Não precisa de uma grande equipa de segurança para começar a melhorar a higiene das credenciais. Um gestor de palavras-passe empresarial oferece à sua equipa um local central para as credenciais de trabalho, apoia uma colaboração mais segura e ajuda a reduzir o risco de reutilização de palavras-passe ou de partilha descontrolada.
O controlo de acessos é um dos locais mais práticos para transformar a política em ação. Quando as credenciais são mais fáceis de gerar, armazenar, partilhar e revogar de forma segura, é menos provável que os colaboradores recorram a soluções alternativas inseguras. Os gestores também obtêm uma forma mais clara de apoiar os requisitos de acesso e de palavras-passe nas operações diárias.
Aplique a sua política de cibersegurança com um gestor de palavras-passe empresarial seguro como o Proton Pass for Business.
